Definición
La AML / PBC-FT (Anti-Money Laundering / Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo) reúne las obligaciones que exigen a un sujeto obligado conocer a sus clientes, vigilar sus flujos y comunicar cualquier sospecha.
Afecta a los actores financieros pero también a numerosos no financieros (notarios, agentes inmobiliarios, marchantes de arte por encima de ciertos umbrales, casinos, CASP…), y se resume en cuatro deberes: identificar al cliente (KYC/KYB), comprender su actividad, vigilar sus transacciones y comunicar cualquier operación sospechosa a TRACFIN, conservando las pruebas durante al menos 5 años.
El marco europeo — las directivas AMLD 4, 5 y 6 — evoluciona hacia el reglamento AMLR y la autoridad AMLA.
El histórico europeo
- AMLD1 (1991) — primera directiva, centrada en bancos y tráfico de drogas.
- AMLD2 (2001) — extensión a la financiación del terrorismo tras el 11-S.
- AMLD3 (2005) — introducción del enfoque basado en el riesgo.
- AMLD4 (2015) — registros de titulares reales (UBO), diligencia reforzada.
- AMLD5 (2018) — extensión a los CASP (cripto), marchantes de arte, proveedores de wallets.
- AMLD6 (2018) — armonización penal, responsabilidad de las personas jurídicas.
- AMLR (2024-2027) — paso a un reglamento de aplicación directa y creación de la AMLA (Fráncfort).
Los 3 pilares
- Conocimiento del cliente (KYC/KYB) — identificación, verificación y actualización. Véase KYC / KYB.
- Diligencia continua — comparar las operaciones con el perfil del cliente y detectar las anomalías.
- Comunicación de sospecha — comunicar a TRACFIN cualquier operación posiblemente vinculada al blanqueo o a la financiación del terrorismo.
Los 3 niveles de diligencia
El enfoque basado en el riesgo distingue:
- Diligencia simplificada — riesgo bajo, controles aligerados.
- Diligencia estándar — el régimen por defecto.
- Diligencia reforzada — obligatoria para las PEP, los países de riesgo (listas UE/GAFI), las operaciones atípicas y las contrapartes anónimas.
La evaluación del riesgo es propia de cada actor y está sujeta a la inspección de la ACPR.
Las obligaciones operativas
- Onboarding: KYC/KYB completo antes de abrir una cuenta.
- Screening de sanciones: verificación permanente contra OFAC, UE, ONU y listas nacionales.
- Diligencia continua: revisión de los expedientes, al menos anual, más frecuente según el riesgo.
- Transaction monitoring: alertas sobre las operaciones inusuales (importes, destinos, frecuencias).
- Comunicación de sospecha: envío a TRACFIN a la menor duda — el umbral es bajo («saber, sospechar o tener buenas razones para sospechar»).
- Formación interna: todos los empleados implicados, al menos una vez al año.
- Reporte a la ACPR y designación de un declarante y de un corresponsal de TRACFIN.
Las sanciones
La ACPR es la autoridad de control. El abanico va desde la advertencia pública hasta las sanciones económicas (hasta 100 M€ o el 10% de la cifra de negocio), pasando por las prohibiciones de ejercer para los directivos y la retirada de la autorización en los casos extremos. Casos notables: N26 (límite de crecimiento, 2021), Solaris (restricciones operativas, 2024), Wirecard (quiebra, 2020).
Lo que la PBC/FT no es
- No es un argumento de marketing: es una obligación legal.
- No está reservada a los bancos: PSP, EDE, CASP, asesores de inversión (CIF), intermediarios de crédito (IOBSP), brókers, notarios, agentes inmobiliarios, casinos, marchantes de arte y comerciantes de metales preciosos por encima de los umbrales están sujetos a ella.
- No es una consulta al FICP: apunta al blanqueo y al terrorismo, no a la solvencia — que no se confunda con el scoring de crédito.
- No es un secreto absoluto: las comunicaciones son confidenciales frente al cliente (no tipping off), pero TRACFIN puede transmitirlas a la justicia.
En el ecosistema PSD2
La PBC/FT se aplica a todos los PSP en el sentido de la DSP2, incluidos AISP y PISP: un AISP debe hacer KYC y vigilar los usos atípicos, y los actores de pago (PISP, EDE) tienen obligaciones reforzadas. DORA se añade para la resiliencia operativa, y MiCA para los CASP.
Ejemplos concretos
- Transaction monitoring: Hawk (DE), ComplyAdvantage (UK), Sardine (US), Featurespace (UK), Feedzai (PT), NICE Actimize y SAS AML en las grandes cuentas.
- Screening de sanciones: Refinitiv World-Check (LSEG), Dow Jones Risk & Compliance, ComplyAdvantage, Lexis Diligence.
- Caso fintech: un neobanco debe desplegar KYC completo, screening continuo, monitorización en tiempo real y un equipo de compliance dedicado — un coste operativo típico de 5 a 20 € por cliente y año.
- Volumen de comunicaciones: TRACFIN recibió 211.165 comunicaciones de sospecha en 2024, de las cuales ~93% procedían del sector financiero. Solo una minoría desemboca en una investigación: el filtro declarativo es deliberadamente amplio.
- Sanciones notables: Société Générale (amonestación + 5 M€ por la ACPR en 2017), N26 (restricciones de crecimiento por la BaFin en 2021), Solaris (limitaciones de la BaFin 2022-2024).
- Coste: para un gran banco europeo, la plantilla de compliance se cuenta por centenares de personas y el coste de PBC/FT por decenas de millones de euros al año (estimaciones sectoriales, datos consolidados no públicos).
- Evolución AMLR + AMLA: a partir de 2026-2027, la AMLA supervisará directamente a la cuarentena de grandes bancos transfronterizos y el AMLR armonizará las reglas — menos fragmentación, con un endurecimiento esperado sobre la cripto y las fintechs.